Seis em cada dez funcionários de pequenas e médias empresas admitem usar ferramentas de inteligência artificial sem autorização formal da organização ou do departamento de TI, segundo o Relatório de Higiene em Cibersegurança 2026 da WatchGuard Technologies. O fenômeno, conhecido como Shadow AI, avança sem controle em PMEs ao redor do mundo e expõe dados corporativos sensíveis a riscos críticos de vazamento, violações de compliance e vulnerabilidades cibernéticas que as equipes de segurança ainda não conseguem monitorar.
O risco está dentro da empresa. Ele não usa malware, não explora vulnerabilidades técnicas e, na maioria das vezes, sequer é percebido pelas equipes de TI. Chama-se Shadow AI, e afeta hoje 64% dos funcionários de pequenas e médias empresas, que admitem utilizar ferramentas de inteligência artificial não autorizadas para executar suas tarefas diárias. Os dados são do Relatório de Higiene em Cibersegurança 2026 da WatchGuard Technologies, um dos levantamentos mais abrangentes sobre comportamento digital corporativo publicados neste ano.
O que é Shadow AI e por que ele preocupa líderes de TI
O termo Shadow AI descreve o uso de soluções de inteligência artificial sem o conhecimento ou a aprovação formal da organização ou do departamento de tecnologia. É uma evolução natural do Shadow IT, fenômeno que já desafiava CISOs e CIOs há anos. A diferença agora é a escala e a velocidade com que essas ferramentas se proliferam.
Plataformas de geração de texto, análise de dados, criação de apresentações e automação de tarefas estão acessíveis a qualquer colaborador com um navegador e um cartão de crédito. Sem políticas claras, os funcionários as adotam por conta própria, muitas vezes com boas intenções: ganhar produtividade, cumprir prazos, entregar resultados melhores. O problema é que, ao fazer isso, inserem dados corporativos sensíveis em sistemas externos não homologados, sem criptografia gerenciada pela empresa, sem rastreabilidade e sem qualquer controle de conformidade.
Para o executivo de TI, o diagnóstico é direto: a maioria das organizações ainda não possui visibilidade suficiente para gerenciar o que seus colaboradores fazem com IA. E o que não é visto não pode ser protegido.
Números que precisam entrar na pauta do board
O relatório da WatchGuard não traz apenas o dado dos 64%. Ele contextualiza o Shadow AI dentro de um quadro mais amplo de comportamentos de risco que coexistem nas PMEs. Segundo o levantamento, 76% dos funcionários reutilizam senhas corporativas, 70% utilizam redes Wi-Fi públicas para atividades profissionais e 50% acessam recursos da empresa sem proteção de VPN.
Isolados, cada um desses comportamentos já seria motivo de preocupação. Combinados, eles formam uma superfície de ataque extensa e, em grande parte, invisível para as equipes de segurança.
O cenário brasileiro adiciona camadas adicionais de risco. Pesquisa da IBM indica que 87% das organizações no país não têm qualquer política de governança de IA em vigor. Estudo conjunto da SAP com Oxford Economics aponta que 66% das empresas brasileiras admitem que o uso de Shadow AI ocorre com alguma frequência internamente. E levantamento da Thomson Reuters, publicado no relatório Future of Professionals 2026, revela que 38% dos profissionais brasileiros utilizam ferramentas de IA não fornecidas ou autorizadas pelas empresas, enquanto 39,1% afirmam não ter acesso a nenhuma solução de IA disponibilizada pelo próprio empregador.
A lógica é clara: quando a empresa não oferece ferramentas adequadas, o colaborador resolve o problema por conta própria. E o faz fora do perímetro de controle da TI.
O impacto real para equipes de cibersegurança
Do ponto de vista operacional, o Shadow AI cria ao menos três vetores críticos de risco para as equipes de segurança corporativa.
O primeiro é o vazamento de dados. Quando um analista insere uma planilha financeira, um contrato ou dados de clientes em uma plataforma de IA não homologada, essas informações saem do perímetro controlado da organização. Dependendo dos termos de uso da ferramenta, esses dados podem ser utilizados para treinar modelos, acessados por terceiros ou simplesmente armazenados em servidores sem os padrões de segurança exigidos pela LGPD.
O segundo vetor é o compliance. A Lei Geral de Proteção de Dados impõe responsabilidades claras sobre o tratamento de dados pessoais. O uso não rastreado de ferramentas externas de IA pode configurar violação direta das obrigações legais da empresa, com consequências que vão de multas a danos reputacionais significativos.
O terceiro vetor é a governança. Sem visibilidade sobre quais ferramentas são usadas, por quem e para quais finalidades, o CISO não consegue construir uma postura de segurança coerente. O mapa de riscos da organização passa a ter lacunas estruturais.
O Gartner projeta que, até 2030, mais de 40% das empresas experimentarão incidentes de segurança ou compliance diretamente ligados ao uso não supervisionado de Shadow AI. A janela para agir de forma preventiva está se fechando.
A pesquisa da SAP com Oxford Economics reforça a urgência: 8 em cada 10 líderes no Brasil já demonstram preocupação com o uso de ferramentas de IA externas sem aprovação formal. A consciência do problema existe. O que ainda falta, em grande parte das organizações, é a estrutura para endereçá-lo.
As respostas mais eficazes identificadas pelo mercado passam pela combinação de tecnologia e cultura. No campo técnico, a adoção de arquiteturas Zero Trust, autenticação multifator obrigatória, ferramentas de monitoramento de tráfego e soluções de Data Loss Prevention ajudam a criar visibilidade sobre o fluxo de dados. No campo cultural, políticas claras de uso aceitável de IA, treinamentos contínuos e a oferta de alternativas corporativas homologadas reduzem o incentivo para o uso não autorizado.
Assine a nossa News e siga o Itshow nas redes sociais para ficar por dentro de todas as notícias do setor de TI e Cibersegurança!